Acord de prelucrare a datelor

Acest Acord de prelucrare a datelor („Acordul”) face parte din contractul încheiat între MIRAKL SRL și client, conform Termenilor și condițiilor. Acordul stabilește condițiile în care prelucrăm date cu caracter personal în numele clientului, în conformitate cu art. 28 din Regulamentul (UE) 2016/679 („GDPR”).

• Acordul se aplică clienților persoane juridice și profesioniștilor, precum și oricărui client al cărui conținut găzduit conține date cu caracter personal ale unor terți (de exemplu datele vizitatorilor unui site, ale clienților unui magazin online, ale abonaților unui newsletter sau conținutul căsuțelor de e-mail).
• Pentru aceste date, clientul este operatorul, iar MIRAKL SRL este persoana împuternicită.
• Acordul nu se aplică datelor pe care le prelucrăm ca operator în nume propriu (contul de client, facturarea, plățile, datele titularilor de domenii transmise registrelor, jurnalele de securitate). Pentru acestea se aplică Politica de confidențialitate.
• Dacă activitatea ta este pur personală sau casnică, GDPR poate să nu se aplice prelucrării făcute de tine; în acest caz aplicăm totuși, cu titlu contractual, măsurile din acest Acord.
• Acceptarea Termenilor și condițiilor la comandă include acceptarea acestui Acord. Clienții persoane juridice îl acceptă expres la comandă.

• Prelucrăm datele personale doar pe baza instrucțiunilor documentate ale clientului, inclusiv în ceea ce privește transferurile către țări terțe, cu excepția cazului în care legislația Uniunii sau a României ne obligă la o prelucrare. În acest caz, informăm clientul despre această cerință înainte de prelucrare, cu excepția cazului în care legea interzice informarea din motive importante de interes public.
• Instrucțiunile clientului sunt cuprinse în contract, în acest Acord, în configurarea serviciului făcută de client și în cererile transmise prin zona de client sau prin e-mail.
• Informăm imediat clientul dacă, în opinia noastră, o instrucțiune încalcă GDPR sau alte dispoziții privind protecția datelor.
• Nu folosim datele clientului în scopuri proprii, nu le vindem și nu le accesăm decât în măsura necesară pentru furnizarea serviciului, pentru suport tehnic, pentru securitate sau pentru respectarea legii (de exemplu în cazul unui ordin al unei autorități ori al unei notificări privind conținut ilegal).

Ne asigurăm că persoanele autorizate să prelucreze datele personale (angajați, colaboratori) s-au angajat să respecte confidențialitatea sau au o obligație legală de confidențialitate, și că accesul acestora este limitat la ceea ce este necesar.

Luăm măsuri tehnice și organizatorice adecvate, conform art. 32 GDPR, ținând seama de stadiul actual al tehnologiei, de costuri și de riscuri. În termeni generali, acestea includ:

• găzduirea serverelor într-un centru de date din Uniunea Europeană, cu securitate fizică și control al accesului asigurate de furnizorul centrului de date;
• restricționarea accesului administrativ la persoanele autorizate, cu autentificare securizată;
• separarea conturilor clienților pe servere;
• criptarea traficului în tranzit acolo unde serviciul permite (de exemplu certificate TLS/SSL);
• protecție la nivel de rețea (firewall, filtrare și protecție împotriva atacurilor DDoS);
• aplicarea la timp a actualizărilor de securitate pentru infrastructura administrată de noi;
• monitorizare și jurnalizare în scopuri de securitate;
• proceduri de gestionare a incidentelor.

Nu deținem certificări de securitate și nu pretindem conformitatea cu un anumit standard. Securitatea aplicațiilor, a parolelor și a conținutului instalate și administrate de client (de exemplu WordPress, module, scripturi) este responsabilitatea clientului, la fel ca păstrarea propriilor copii de siguranță (vezi Termenii și condițiile).

1. Autorizare generală. Prin acceptarea acestui Acord, clientul ne acordă o autorizare generală scrisă, în sensul art. 28 alin. (2) GDPR, de a angaja alte persoane împuternicite („subîmputerniciți”) pentru activitățile de prelucrare necesare furnizării serviciilor, de exemplu: centre de date și infrastructură de servere, rețea, DNS și protecție împotriva atacurilor, stocarea copiilor de siguranță, livrarea e-mailurilor și asistență tehnică specializată.
2. Lista subîmputerniciților. Lista actualizată, cu activitatea fiecărui subîmputernicit, locul prelucrării și garanțiile aplicabile transferurilor, este publicată pe pagina Lista subîmputerniciților. Lista are caracter informativ și nu face parte din clauzele acestui Acord, astfel încât actualizarea ei, făcută conform prezentei secțiuni, nu reprezintă o modificare a Acordului.
3. Informarea prealabilă. Informăm clientul despre orice intenție de a adăuga sau de a înlocui un subîmputernicit cu acces la datele clientului cu cel puțin 14 zile înainte ca schimbarea să producă efecte, prin e-mail la adresa din contul de client sau printr-un mesaj în contul de client, și actualizăm lista în același timp.
4. Înlocuiri urgente. Dacă un subîmputernicit trebuie înlocuit urgent pentru a asigura continuitatea sau securitatea serviciului (de exemplu încetarea activității acestuia, un incident de securitate sau încălcarea obligațiilor sale), putem face înlocuirea înainte de expirarea termenului de mai sus, cu informarea clientului fără întârziere. Dreptul de opoziție de mai jos se aplică și în acest caz, termenul curgând de la data informării.
5. Dreptul de opoziție. Clientul se poate opune unei schimbări, în termen de 14 zile de la informare, printr-un e-mail motivat cu privire la protecția datelor, trimis la [email protected]. Analizăm opoziția cu bună-credință și căutăm o soluție rezonabilă (de exemplu o alternativă pentru serviciul clientului). Dacă nu găsim o soluție, clientul poate înceta serviciile afectate de schimbare, fără penalități, cu rambursarea proporțională a părții neutilizate din perioada plătită. Lipsa opoziției în termen echivalează cu acceptarea schimbării.
6. Obligațiile subîmputerniciților. Impunem fiecărui subîmputernicit, prin contract sau printr-un alt act juridic, aceleași obligații de protecție a datelor ca cele din acest Acord, în special garanții suficiente privind măsurile tehnice și organizatorice, conform art. 28 alin. (4) GDPR.
7. Răspundere. Rămânem pe deplin răspunzători față de client pentru îndeplinirea obligațiilor fiecărui subîmputernicit.
8. Cine nu este subîmputernicit. Procesatorul de plăți, registrele de nume de domeniu, registrarii și autoritățile publice prelucrează datele ca operatori independenți, conform propriilor reguli, și nu au acces la conținutul găzduit de client. Îi menționăm pe pagina de mai sus doar pentru transparență.

Datele găzduite sunt stocate în Uniunea Europeană. Dacă un subîmputernicit prelucrează date ale clientului în afara Spațiului Economic European (de exemplu în cadrul unei rețele globale de distribuție și protecție a traficului), transferul se face doar cu una dintre garanțiile prevăzute de capitolul V GDPR: o decizie de adecvare a Comisiei Europene (inclusiv EU-US Data Privacy Framework, pentru entitățile certificate), clauze contractuale standard aprobate de Comisia Europeană sau alte garanții adecvate. Garanția aplicabilă fiecărui subîmputernicit este indicată în Lista subîmputerniciților.

Ținând seama de natura prelucrării, asistăm clientul prin măsuri tehnice și organizatorice adecvate, în măsura posibilului, pentru îndeplinirea obligației sale de a răspunde cererilor persoanelor vizate (acces, rectificare, ștergere, restricționare, portabilitate, opoziție). În mod obișnuit, clientul poate răspunde direct acestor cereri, deoarece are acces deplin la conținutul său. Dacă primim o cerere direct de la o persoană vizată cu privire la datele clientului, o redirecționăm către client fără întârziere și nu îi răspundem în fond decât cu acordul clientului sau dacă legea ne obligă.

• Notificăm clientul fără întârzieri nejustificate după ce luăm cunoștință de o încălcare a securității datelor personale care afectează datele clientului.
• Ne propunem să trimitem notificarea suficient de repede pentru ca clientul, ca operator, să poată respecta termenul de 72 de ore în care trebuie să notifice autoritatea de supraveghere, conform art. 33 GDPR (termen care curge de la momentul în care operatorul a luat cunoștință de încălcare).
• Notificarea include, în măsura în care sunt disponibile: natura încălcării, categoriile și numărul aproximativ de persoane vizate și de înregistrări afectate, consecințele probabile, măsurile luate sau propuse și datele de contact pentru informații suplimentare. Informațiile care nu sunt disponibile inițial sunt transmise ulterior, fără întârzieri nejustificate.
• Notificarea se trimite la adresa de e-mail din contul de client.
• Luăm măsurile rezonabile pentru limitarea efectelor încălcării și cooperăm cu clientul.
• Incidentele cauzate de aplicațiile, parolele sau configurările clientului (de exemplu un site WordPress compromis) nu sunt încălcări ale securității din partea noastră; informăm totuși clientul despre ele dacă le detectăm.

Ținând seama de natura prelucrării și de informațiile pe care le avem, asistăm clientul în îndeplinirea obligațiilor prevăzute la art. 32–36 GDPR (securitate, notificarea încălcărilor, informarea persoanelor vizate, evaluarea impactului și consultarea prealabilă a autorității), în special prin furnizarea informațiilor relevante despre serviciu și despre măsurile de securitate. Asistența care depășește furnizarea acestor informații poate fi facturată la costuri rezonabile, comunicate în prealabil.

• Pe durata contractului, clientul își poate descărca oricând conținutul, folosind instrumentele serviciului (de exemplu panoul de control, FTP/SFTP, exportul bazelor de date).
• La încetarea serviciului, la alegerea clientului, ștergem toate datele personale sau le punem la dispoziția clientului pentru descărcare, după care ștergem copiile existente, cu excepția cazului în care legea Uniunii sau a României impune stocarea lor.
• Clientul trebuie să își descarce datele înainte de încetare sau în perioada dintre suspendare și ștergere, prevăzută în Termenii și condițiile. După această perioadă, datele sunt șterse de pe serverele active.
• Copiile de siguranță (7 zilnice, 4 săptămânale, 3 lunare) sunt suprascrise sau șterse în cadrul ciclului obișnuit de rotație, în cel mult 90 de zile de la ștergerea datelor de pe serverele active.

• Punem la dispoziția clientului, la cerere, toate informațiile necesare pentru a demonstra respectarea obligațiilor prevăzute la art. 28 GDPR.
• Permitem și contribuim la audituri, inclusiv inspecții, efectuate de client sau de un auditor mandatat de acesta, cu următoarele condiții: o notificare prealabilă de cel puțin 30 de zile; un auditor obligat la confidențialitate; desfășurarea fără a afecta securitatea sau datele altor clienți; cel mult o dată pe an, cu excepția cazului în care a avut loc o încălcare a securității datelor sau o autoritate de supraveghere solicită auditul.
• Inspecțiile la centrele de date ale subîmputerniciților se fac conform politicilor acestora; în locul inspecției putem furniza rapoartele sau documentele puse la dispoziție de subîmputerniciți.
• Costurile auditului sunt suportate de client, cu excepția cazului în care auditul constată o încălcare semnificativă a acestui Acord din partea noastră.

• Clientul, ca operator, răspunde pentru legalitatea prelucrării datelor pe care le găzduiește: temeiul juridic, informarea persoanelor vizate, răspunsul la cererile acestora și, dacă este cazul, notificarea încălcărilor către autoritate și către persoanele vizate.
• Clientul se asigură că instrucțiunile sale respectă legea și că are dreptul să ne transmită datele.
• Clientul alege și configurează măsurile de securitate care țin de el (parole, actualizări, copii de siguranță, criptarea datelor sensibile la nivel de aplicație).

• Acordul se aplică pe durata contractului și, după încetare, până la ștergerea tuturor datelor clientului.
• Răspunderea părților este cea prevăzută de art. 82 GDPR și de Termenii și condițiile, în limitele permise de lege.
• În caz de contradicție între acest Acord și Termeni și condiții, cu privire la protecția datelor, prevalează acest Acord.
• Acordul este guvernat de legea română. Putem actualiza Acordul conform procedurii de modificare a Termenilor și condițiilor, cu excepția modificărilor privind subîmputerniciții, pentru care se aplică secțiunea 6.
• Întrebările despre acest Acord se trimit la [email protected].
• Acordul este în vigoare din 29 octombrie 2026.